iso27001(isms)業(yè)務(wù)的介紹-在線瀏覽
2024-08-09 08:12本頁面
【正文】 司重要、以及敏感信息保護能力的信心，提高組織的公眾形象和競爭力；252。但是對于規(guī)范較小的公司，IT部門的力量非常有限，往往是由質(zhì)量管理部門牽頭主導(dǎo)項目，因為這些公司一般都有實施過管理體系認證（ISO9001或者CMMI）或者項目的經(jīng)驗，信息安全管理體系同質(zhì)量管理體系具有較大的相似性。這非常關(guān)鍵，因為這關(guān)系到項目實施過程順利與否，以及項目目標的達成與否。ISO27001項目的招標同其他項目沒有區(qū)別，一般按照企業(yè)既定的招標流程走。ISMS體系認證工作一般分為兩個階段的工作，第一階段是文件審核，這個階段審核員只關(guān)注管理體系文件，查看體系文件是否齊全，ISMS建設(shè)的方法是否合理，文件查看的重點一般為風(fēng)險評估方法，業(yè)務(wù)連續(xù)性和管理體系測量等幾個方面?，F(xiàn)場審核將以末次會議的形式結(jié)束整個審核工作，如果審核員沒有發(fā)現(xiàn)重大不符合項，審核員會在末次會議上宣布企業(yè)通過現(xiàn)場審核。反過來，難易度和成本是選擇認證范圍的重要參考。在考慮難易度和成本的基礎(chǔ)上，企業(yè)一般會把核心業(yè)務(wù)部門以及支撐核心業(yè)務(wù)的IT部門和人力資源部門納入認證范圍。到目前為止，像比較著名的認證機構(gòu)比如BSI，DNV等在國內(nèi)頒發(fā)的證書一般只使用業(yè)務(wù)活動和地域場所來描述認證的管理體系范圍。 詳細如下圖解。ISO27001信息安全管理體系的核心是基于PDCA流程的方法。PDCA是個周而復(fù)始的循環(huán)活動，發(fā)現(xiàn)問題，制定問題處理計劃，實施計劃，檢查回顧執(zhí)行的執(zhí)行，監(jiān)視評估實施的效果，發(fā)現(xiàn)不足及時改進。公司在實踐中總結(jié)出了一套輔導(dǎo)企業(yè)通過ISO27001認證的方法。詳情請參看圖實施方法總概。 ISO27001基礎(chǔ)培訓(xùn)252。 現(xiàn)有安全制度收集與分析252。 ISO27001差距分析252。 人員訪談記錄252。 安全技術(shù)報告252。 風(fēng)險評估方法培訓(xùn)252。 威脅與弱點分析252。 IT流程風(fēng)險評估252。 資產(chǎn)清單252。 風(fēng)險評估報告ISMS體系建立252。 技術(shù)體系規(guī)劃252。 安全制度編寫252。 風(fēng)險處理計劃252。 安全制度培訓(xùn)252。 管理評審252。 內(nèi)部審計報告252。 應(yīng)對外審培訓(xùn)252?？偟膩碚f，企業(yè)的人天投入不同階段是不一樣的，而且參與的人員也會有所不同，從管理層到普通員工在實施工程中都會有參與。其中：h表示小時,d表示天Q：如何選擇認證公司？在認證公司的選擇方面大致可以分為國際公司和國內(nèi)公司，企業(yè)如果有涉及到出口，離岸外包等國際業(yè)務(wù)時，建議選擇國際認證公司；如果企業(yè)業(yè)務(wù)僅僅涉及限于國內(nèi)客戶，且企業(yè)自身要滿足國內(nèi)監(jiān)管方信息安全監(jiān)管要求，建議選擇國內(nèi)認證公司。國內(nèi)企業(yè)選擇國際認證公司時間，一般選擇BSI和DNV較多，國內(nèi)認證公司目前只有中國信息安全認證中心正式被中國合格評定國家認可委員會(簡稱認可委)正式認可，而其他三家（賽寶認證中心，華夏認證中心，中國電子技術(shù)標準化研究所）目前（截止2009年6月）還是頒發(fā)試點證書。在認證注冊資格后，在三年有效期內(nèi)，將接受乙方3 次定期監(jiān)督審核及必要的不定期審查。因此，企業(yè)必須仍然按照標準PDCA的要求，不斷發(fā)現(xiàn)或回顧信息安全風(fēng)險狀況。b) 信息安全策略必須要反映企業(yè)的業(yè)務(wù)目標。c) 實施過程與方法要與企業(yè)的文化保持一致。d) 來自管理層可見的支持以及承諾。 e) 為員工提供適當?shù)呐嘤?xùn)和教育 f) 易理解且一致的度量系統(tǒng)以評估信息安全的效能。就如人身體的好壞能夠通過血壓，脈搏等等指標就能知道。需要有一個工具來自動的管理當前的安全策略，員工也能夠通過這個工具，快速查找到他需要的安全制度。ISMS建設(shè)時，都會確定一個明確的實施范圍，比如IT部或研發(fā)部或財務(wù)部，那么在實施ISMS的過程當中，范圍之外的部門或組織一般都不會深入涉及，再次實施的重點明確在已定的范圍之內(nèi)，在咨詢顧問的幫助下，建立合理的信息安全組織框架，培養(yǎng)出能夠勝任安全管理體系運作的相關(guān)人員，比如掌握了風(fēng)險評估方法的人員，內(nèi)部審計人員等等，提高人員的安全技能以及安全意識，在范圍內(nèi)，提高信息安全的運作水平，降低相關(guān)安全風(fēng)險。實際上這也是企業(yè)在信息安全體系的建設(shè)過程當中，在一定的人財物的投入的條件下，按部就
語文相關(guān)推薦
鄂ICP備17016276號-1